收集 Aruba 交换机日志

此解析器使用 grok 模式从 Aruba 交换机 syslog 消息中提取字段，并将这些字段映射到 UDM 模型。它会处理各种字段，包括时间戳、主机名、应用名称、进程 ID、事件 ID 和说明，并填充相关的 UDM 字段。系统会根据是否存在主账号信息来设置事件类型。

准备工作

• 确保您拥有 Google Security Operations 实例。
• 确保您拥有 Windows 2016 或更高版本或带有 systemd 的 Linux 主机。
• 如果通过代理运行，请确保防火墙端口处于开放状态。
• 确保您拥有对 Aruba 交换机的特权访问权限。

获取 Google SecOps 注入身份验证文件

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 收集代理。
3. 下载注入身份验证文件。

获取 Google SecOps 客户 ID

1. 登录 Google SecOps 控制台。
2. 依次前往 SIEM 设置 > 个人资料。
3. 复制并保存组织详细信息部分中的客户 ID。

安装 BindPlane 代理

1. 对于 Windows 安装，请运行以下脚本：
   msiexec /i "https://github.com/observIQ/bindplane-agent/releases/latest/download/observiq-otel-collector.msi" /quiet
2. 对于 Linux 安装，请运行以下脚本：
   sudo sh -c "$(curl -fsSlL https://github.com/observiq/bindplane-agent/releases/latest/download/install_unix.sh)" install_unix.sh
3. 如需了解其他安装选项，请参阅此安装指南。

配置 Bindplane 代理以注入 Syslog 并将其发送到 Google SecOps

1. 访问安装了 Bindplane 的机器。

2. 按如下方式修改 config.yaml 文件：

     receivers:
         tcplog:
             # Replace the below port <54525> and IP <0.0.0.0> with your specific values
             listen_address: "0.0.0.0:54525" 
   
     exporters:
         chronicle/chronicle_w_labels:
             compression: gzip
             # Adjust the creds location below according the placement of the credentials file you downloaded
             creds: '{ json file for creds }'
             # Replace <customer_id> below with your actual ID that you copied
             customer_id: <customer_id>
             endpoint: malachiteingestion-pa.googleapis.com
             # You can apply ingestion labels below as preferred
             ingestion_labels:
             log_type: SYSLOG
             namespace: aruba_switch
             raw_log_field: body
     service:
         pipelines:
             logs/source0__chronicle_w_labels-0:
                 receivers:
                     - tcplog
                 exporters:
                     - chronicle/chronicle_w_labels
   

3. 重启 Bindplane 代理以应用更改：

   sudo systemctl restart bindplane
   

在 Aruba 交换机上配置 Syslog

1. 通过控制台连接到 Aruba 交换机：

     ssh admin@<switch-ip>
   

2. 通过 Web 界面连接到 Aruba 交换机：

   • 前往 Aruba 交换机 Web GUI。
   • 使用交换机的管理员凭据进行身份验证。

3. 使用 CLI 配置启用 Syslog：

   • 进入全局配置模式：

     configure terminal
     

   • 指定外部 syslog 服务器：

     logging <bindplane-ip>:<bindplane-port>
     

   • 将 <bindplane-ip> 和 <bindplane-port> 替换为 Bindplane 代理的地址。

4. 可选：设置日志记录严重级别：

     logging severity <level>
   

5. 可选：添加自定义日志源标识符（标记）：

     logging facility local5
   

6. 保存配置：

     write memory
   

7. 使用 Web 界面配置启用 Syslog：

   • 登录 Aruba 交换机网页界面。
   • 依次前往系统 > 日志 > Syslog。
   • 添加 Syslog 服务器参数：
   • 输入 Bindplane IP 地址。
   • 输入 Bindplane 端口。
   • 设置严重程度以控制日志的详细程度。
   • 点击保存。

UDM 映射表

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。